SOC for beginners. Глава 3. Использование внешних источников данных об угрозах для Security Operation Center

[Spewow]

К сожалению, мы за все время работы таких компаний пока не встречали.

Однако именно к таким политикам надо стремиться. Это один из эффективных методов защиты. Белые списки.

Все остальное это чёрные списки уже отработанных атак, командные адреса малвари, базы сигнатур известных вирусов и т.д. Это может использоваться только как вспомогательные средства. Иначе получится как воду носить в сите, одну дырку заткнули, льется через другие.

[SolarSecurity]

Милитаристский подход к обеспечению безопасности — достаточно эффективный и позволяет закрыть много векторов угроз. Но сторонники этого подхода сейчас находятся скорее в начале пути с согласованием политик и блокировок (закрыть прямой доступ в интернет в крупной компании и обеспечить управление уязвимостями — те еще задачи, каждая на медаль тянет), а безопасность нужна уже сейчас. А вообще большинство организаций, особенно коммерческих, все чаще двигаются в обратную сторону: минимизация жестких запретов и предоставление допустимой свободы бизнес-пользователям, но при этом всеобъемлющий мониторинг активностей с возможностью вмешаться и воздействовать в критической ситуации.

[Spewow]

Да не вопрос. Сейчас тема о «размытии сетевого периметра», облаков и BYOD в большом почете. Надо только расписать руководству все риски таких подходов. Если руководство подписывается под этими рисками, то безопаснику только и остаётся работать в заданных условиях.

Тут кстати интересный вопрос, что еще дешевле выйдет, закрыть прямой доступ в интернет (воздушный зазор) или доступ оставить и озаботиться услугами SOC аутсорсера.

[SolarSecurity]

Сейчас тема о «размытии сетевого периметра», облаков и BYOD в большом почете. Надо только расписать руководству все риски таких подходов. Если руководство подписывается под этими рисками, то безопаснику только и остаётся работать в заданных условиях.

Целиком согласны. Именно о таких ситуациях с заданными условиями мы и пишем статьи :)

Тут кстати интересный вопрос, что еще дешевле выйдет, закрыть прямой доступ в интернет (воздушный зазор) или доступ оставить и озаботиться услугами SOC аутсорсера.

К сожалению, здесь вопрос не про деньги. Первый подход с точки зрения расходов ИБ стоит дешево, но целиком сказывается на динамике и мобильности самого бизнеса, которую «в лоб» деньгами не измерить. И чаще всего именно из-за этого и редко применяется в принципе и практически отсутствует в коммерческом секторе.